cointelegraph.de
Der Hardware-Wallet-Anbieter BitBox hat ein Firmware-Update veröffentlicht, das zwei von ihm als „schwerwiegend“ bezeichnete Schwachstellen behebt. Diese hätten die Installation einer bösartigen Firmware ermöglicht oder Nutzervermögen gefährden können.
In einer Sicherheitsmitteilung am Montag erklärte BitBox , eine der Schwachstellen habe eine Speicherbeschädigung betroffen, die bei Multi-Editionen von BitBox02 und BitBox02 Nova auftrat, die noch nicht mit einer Wallet eingerichtet worden waren. Ein bösartiger Host hätte die Schwachstelle ausnutzen können, um beliebigen Code auszuführen und möglicherweise eine bösartige Firmware zu installieren. Dadurch hätte es zum Verlust von Guthaben kommen können.
Die zweite Schwachstelle betraf die Silent-Payments-Implementierung von BitBox. Sie hätte es einem bösartigen Host ermöglichen können, Bitcoin an eine nicht vorgesehene Adresse zu binden. Ein direkter Diebstahl war nicht möglich. Laut BitBox hätte ein Angreifer jedoch möglicherweise Lösegeld für seine Mithilfe bei der Wiederherstellung der Coins verlangen können. Das Unternehmen erklärte, es habe keine Berichte darüber erhalten, dass eine der beiden Schwachstellen ausgenutzt worden sei oder dazu geführt habe, dass Nutzer Guthaben verloren hätten.
Die Veröffentlichung erfolgt zu einem sensiblen Zeitpunkt für die Selbstverwahrung. Zuvor war eine Coldcard-Firmware-Schwachstelle mit Bitcoin-Diebstählen im Wert von mehr als 112 Millionen US-Dollar in Verbindung gebracht worden. Der Vorfall zeigt, wie Schwachstellen in Geräten, die zum Schutz privater Schlüssel entwickelt wurden, zu Ausfallpunkten werden können.
Cointelegraph wandte sich für weitere Informationen an BitBox, erhielt jedoch vor der Veröffentlichung keine Antwort.
BitBox-Patch folgt auf Coldcard-Diebstähle und Wallet-Datenlecks
Das BitBox-Sicherheitsupdate folgt auf eine Reihe von Vorfällen im Zusammenhang mit Hardware-Wallets, die sowohl die Geräte als auch die damit verbundenen Dienste betrafen.
Am schwerwiegendsten war die Coldcard-Schwachstelle, die auf eine Firmware-Änderung vom März 2021 zurückging und mehr als fünf Jahre lang unentdeckt blieb. Die Schwachstelle betraf die Zufälligkeit des Wallet-Seeds und ermöglichte es Angreifern, die Seeds betroffener Wallets per Brute-Force zu ermitteln und daraus deren private Schlüssel abzuleiten, ohne physischen Zugriff zu benötigen.
Galaxy Research erklärte am Freitag, dass die Verluste im Zusammenhang mit Coldcard 112 Millionen US-Dollar überschritten hätten und etwa 1.778,6 BTC von mehr als 8.600 Adressen abgezogen worden seien.
In jüngerer Zeit legten unabhängige Datenlecks im Zusammenhang mit Trezor und SafePal Kunden- und Bestellinformationen von mehr als 53.000 Kunden offen. Trezor führte die Offenlegung der Daten von 13.689 Kunden auf den Versanddienstleister ShipMonk zurück. SafePal erklärte, eine Autorisierungsschwachstelle in einem Plug-in zur Bestellverfolgung habe Daten von 39.798 Kunden offengelegt.
Bei keinem der beiden Vorfälle wurden Geräte, private Schlüssel oder Wiederherstellungsphrasen kompromittiert. Beide Unternehmen warnten jedoch, dass die Informationen gezielte Phishing- und Identitätsbetrugsangriffe ermöglichen könnten.